O que as empresas devem perguntar às suas equipes de segurança neste momento

O assassinato chocante do CEO da United Healthcare, Brian Thompson, em Midtown Manhattan, em 4 de dezembro, fez com que os conselhos e executivos das empresas fizessem perguntas difíceis às suas equipes de segurança. A violência no local de trabalho causada por funcionários insatisfeitos ou disputas no local de trabalho é, infelizmente, muito comum nos Estados Unidos. No entanto, o assassinato deliberado de CEOs é relativamente raro. Na década de 1970, grupos com motivações ideológicas, incluindo as Brigadas Vermelhas da Itália e a Bader Meinhof Gang da Alemanha, perpetuaram sequestros e assassinatos de executivos de empresas. Hoje em dia, é mais provável que os líderes corporativos vejam as reuniões de acionistas serem geradas disruptivas por grupos extremistas com táticas projetadas para produzir indignação e publicidade, não vítimas. Mas em um ano de política febril, aumento da frustração popular com as instituições e duas tentativas separadas de assassinar o Presidente Trump, os riscos para os executivos de praticamente qualquer setor não podem ser minimizados. A presença de um número estimado em mais de 400 milhões de armas de fogo nos Estados Unidos, combinada com o fácil acesso a dados de localização pessoal, horários e padrões de vida, só aumenta o perigo. "Os executivos da diretoria de cada empresa da Fortune 1.000 são ativos valiosos que precisam ser protegidos", diz Dale Buckner, CEO da empresa de segurança Global Guardian. "Em uma época de crescente divisão política e social, em que tantas informações estão disponíveis na Internet e nas plataformas de mídia social, qualquer pessoa com potencial para cometer violência tem um nível alarmante de acesso à localização das residências e ao paradeiro de seus funcionários quando viajam ou participam de eventos corporativos. Isso dá àqueles que têm a inclinação de cometer violência um caminho muito mais fácil para seguir em frente." Diante disso, que estrutura as suítes e as diretorias podem usar para equilibrar os interesses conflitantes de necessidade, eficácia e custo para garantir a proteção dos executivos? Como uma empresa pode adotar a abordagem correta para evitar a baixa probabilidade, mas a consequência muito alta de um ataque a um CEO? Uma ferramenta de avaliação comum e eficaz usada nos círculos militares, policiais e de segurança corporativa é examinar três fatores simples de risco: ameaça, vulnerabilidade e consequência. Ao examinar atentamente cada componente, as empresas podem avaliar a natureza, o grau e a gravidade de praticamente qualquer risco. Mais importante ainda, essa avaliação pode orientar as decisões importantíssimas sobre quais recursos empregar para reduzi-lo. Ameaça A ameaça é uma combinação de capacidade e intenção. Um homem segurando uma pistola representa a capacidade. A decisão de puxar o gatilho é a intenção. A capacidade pode ser manifesta (uma arma visível) ou oculta (uma pistola escondida). A intenção é mais difícil de adivinhar e, o que é mais importante, pode se transformar em um instante. Para avaliar os níveis de ameaça, os executivos e as diretorias devem se perguntar: Que indivíduos ou grupos pretendem prejudicar a empresa ou sua liderança? O que motiva suas intenções? Que fatores podem desencadear uma mudança nesses objetivos? Há ações que a empresa pode tomar para alterar as intenções? A capacidade do agente da ameaça está de acordo com as intenções? Ele pode fazer o que diz? As mudanças de capacidade indicam mudanças de intenção? Para identificar as ameaças, as empresas devem extrair e rastrear a natureza e a frequência das comunicações de clientes ou consumidores, seja na mídia social ou em correspondência direta. A análise de sentimentos e a priorização de ameaças escritas ou pronunciadas são fundamentais. A maioria será ruído, mas analistas de segurança antenados, capacitados com dados ricos e IA, podem separar o joio do trigo das ameaças. Uma vez que indivíduos ou grupos tenham sido identificados como ameaças, a equipe de segurança deve analisar suas ações passadas, presença nas mídias sociais e evidências de atividades criminosas anteriores. No mínimo, deve haver uma avaliação para saber se um determinado ator pode se envolver em violência, ataques cibernéticos, discursos nas mídias sociais ou outras ações que possam prejudicar uma empresa ou seus funcionários. "Como o mundo está repleto de tecnologia e mídias sociais, a liderança na América corporativa tem um nível de exposição como nunca antes", disse Mark Post, Diretor de operações da Global Guardian. "O simples fato é que, se o senhor é líder de uma grande organização, inevitavelmente tomará decisões que incomodam as pessoas todos os dias, o que automaticamente o torna um alvo." Vulnerabilidade A vulnerabilidade é simplesmente uma medida de quão boas são suas defesas. Um edifício com portões e guardas é mais seguro e menos vulnerável do que um sem portões. Com um bom entendimento do ambiente de ameaças, a equipe de segurança pode avaliar os pontos fracos da defesa e construir uma mais robusta, de preferência com várias camadas. De certa forma, a vulnerabilidade é mais fácil de ser analisada por uma equipe de segurança pelo simples motivo do acesso. As avaliações de segurança das residências dos executivos, dos locais de trabalho, dos planos de viagem e das agendas públicas são de praxe para as equipes de segurança profissionais. Os caminhos para reduzir a vulnerabilidade incluem o uso de barreiras físicas, protocolos adaptáveis, guarda-costas e planejamento abrangente de segurança para viagens ou eventos. Além disso, um programa de coleta de informações sobre ameaças que rastreie os agentes mal-intencionados, bem como o ambiente geral de segurança, deve informar qualquer avaliação de vulnerabilidade. Prevenir é estar preparado. Em minha experiência, a proteção contra vulnerabilidades é prejudicada por dois fatores autolimitantes. O primeiro é quando os executivos não percebem uma ameaça ou não querem ser prejudicados por guarda-costas ou restrições de movimentos ou atividades. Se um executivo disser a seus protegidos para irem para casa à noite, eles não poderão oferecer proteção. Mas a autolimitação corporativa mais difundida na redução da vulnerabilidade é o dinheiro. As equipes de segurança corporativa enfrentam ciclos perpétuos de corte de custos, precisam justificar continuamente sua existência e enfrentam resistência para implementar planos sólidos baseados em riscos. As empresas caem na armadilha de acreditar que, pelo fato de algo não ter acontecido no passado, não ocorrerá no futuro. "As empresas têm muita dificuldade em entender os riscos de baixa probabilidade e alta consequência", diz James Hamilton, criador da Escola de Proteção Próxima do FBI e fundador do Hamilton Security Group. Os riscos também se agregam. Para uma companhia de seguros, observa Hamilton, "cada sinistro negado é uma ameaça em potencial". Para avaliar os níveis de vulnerabilidade, os executivos e as diretorias devem se perguntar: Compreendemos os pontos fortes e fracos de nossos controles de acesso, barreiras físicas e processo de avaliação de segurança? Nossos executivos têm perfis públicos ou em mídias sociais que possam causar controvérsias ou que forneçam informações valiosas sobre alvos para um invasor? Temos a capacidade de coletar informações gerais e específicas sobre ameaças? Temos relacionamentos com autoridades policiais, provedores de segurança e organizações do setor que maximizarão nossa capacidade de proteger nosso pessoal? Nossos executivos ouvem e aceitam as orientações de segurança? Que recursos ou processos adicionais proporcionarão os aprimoramentos de segurança mais importantes? Consequência É fundamental que os diretores de segurança (CSOs) trabalhem lado a lado com os líderes de negócios para que cada um esteja ciente não apenas do que pode acontecer, mas também do que isso significa se acontecer. Muitas empresas negligenciam a avaliação do impacto real - seja ele medido em vidas ou no resultado final - de um determinado evento de segurança. Mas compreender as possíveis consequências é essencial para priorizar de forma eficaz a natureza e o nível das medidas de segurança a serem empregadas. Não faz muito sentido despender grandes recursos para mitigar eventos de baixa consequência, mas quando o impacto é alto, as ações e medidas preventivas devem ser intensificadas de acordo. Medir as consequências pode ser complicado e impreciso, mas ferramentas como jogos de guerra podem forjar uma melhor compreensão dos efeitos indiretos. Quando bem feitos, esses exercícios invariavelmente revelam vulnerabilidades comerciais ocultas. Por exemplo, quando uma empresa petrolífera realizou um exercício de mesa simulando um ataque cibernético, os executivos que esperavam lidar com um problema de TI rapidamente se viram diante de uma empresa global paralisada pelo colapso de seus sistemas de pagamentos e estoque. Um exemplo do mundo real pode ser visto no ataque de ransomware da Colonial Pipeline, que resultou em uma paralisação das entregas de combustível na costa leste dos EUA. Para ajudar a avaliar as consequências, os conselhos de administração e os executivos devem fazer a si mesmos uma série de perguntas do tipo "e se" - e estar particularmente atentos para examinar os efeitos de segunda e terceira ordem. Para um determinado problema de segurança, quais são os piores cenários possíveis? Quais são os vários impactos que eles podem gerar em toda a empresa? Lembre-se de não rejeitar os cenários porque o senhor não os considera prováveis. A discussão é sobre as consequências, não sobre a probabilidade. Que respostas pré-planejadas a empresa pode adotar para mitigar o impacto de um evento quando ele ocorrer? Exercícios com atiradores ativos, planos de evacuação, exercícios de gerenciamento de crises e respostas ensaiadas podem ajudar a minimizar os efeitos negativos de um dia terrível. No caso de um incidente, estamos prontos com uma estratégia de comunicação para nossos funcionários, acionistas, órgãos reguladores e o público? No mundo atual de queixas e raiva, fácil acesso a armas e informações e ataques de alto nível a figuras públicas, as empresas devem levar a sério seu dever de cuidar tanto dos executivos quanto dos funcionários. Recursos apropriados, planos de segurança baseados em riscos cuidadosamente concebidos e implementados de forma eficaz e conversas contínuas com sua equipe de segurança ajudarão a antecipar as ameaças antes que elas se manifestem e a lidar com elas quando se manifestarem.

O que as empresas devem perguntar às suas equipes de segurança neste momento

Resumo.

Partner Center